Banco de dados sem senha expõe contatos de celebridades do Festival Tribeca

O incidente é uma exposição não intencional — não um ataque. Jeremiah Fowler, pesquisador da Black Hills Information Security, encontrou quatro bancos de dados do Festival Tribeca sem qualquer mecanismo de autenticação em ambiente de nuvem. Três estavam diretamente acessíveis: 'development' (203.370 registros), 'staging' (224.999) e 'production' (238.000), totalizando 666.369. Um quarto banco, rotulado 'CMS', estava adequadamente protegido.

A composição dos registros é o ponto mais mal comunicado pela imprensa. A maioria dos objetos expostos era imagens, press kits e materiais de marketing, conforme o próprio Fowler declarou em seu relatório primário. O dado sensível concentrava-se em um único arquivo de backup (.dump) dentro do ambiente 'production', contendo endereços de e-mail, números de telefone, endereços IP e senhas hashadas. Havia também um diretório de contatos com metadados de dispositivos — modelo de iPhone, versão de sistema operacional e navegador — vinculados a endereços de e-mail. O número total de 666.369 não representa 666.369 indivíduos com PII exposta: é o total de objetos nos três ambientes, uma distinção que a cobertura generalista ignorou.

Sobre as celebridades nominalmente citadas (Angelina Jolie, Robert De Niro, Martin Scorsese, Jennifer Lawrence, Morgan Freeman, George Lucas, entre outros): fontes citadas pelo The Cyber Express e pelo Rankiteo indicam que a maior parte dos dados de contato pertencia a managers e agentes, não diretamente aos artistas. Isso não elimina o risco — um ator malicioso com acesso à agenda de um agente pode montar ataques de spear phishing ou BEC altamente convincentes — mas reduz a gravidade imediata da exposição de PII direta de A-listers.

A Tribeca Enterprises confirmou estar investigando, por meio de resposta a Fowler, mas não emitiu comunicado público formal, não notificou afetados publicamente (até onde foi possível apurar) e não esclareceu se o banco era gerido diretamente pela organização, pela Tribeca Enterprises ou por fornecedor terceiro. Essa lacuna sobre a cadeia de custódia dos dados é analiticamente relevante: impacta responsabilidade legal e escopo de notificação obrigatória. Nenhum regulador americano (FTC, autoridade estadual de Nova York) anunciou abertura de investigação formal até a data desta apuração.

O timing da publicação merece atenção crítica: Fowler reportou o caso à Tribeca em late-maio de 2026, os bancos foram rapidamente fechados, mas o relatório público foi publicado na ExpressVPN somente em 18 de junho — após o encerramento do festival. A cobertura midiática de massa aconteceu em 26-27 de julho, mais de dois meses depois. Isso levanta questão sobre a razão do intervalo e se a Tribeca teve tempo suficiente para notificar indivíduos afetados antes da exposição pública.

O impacto concreto e verificado é a exposição de dados de contato (e-mails, telefones, possivelmente privados) de profissionais do setor de entretenimento — incluindo celebridades ou seus representantes — além de hashes de senha e metadados de dispositivos de usuários cadastrados nos sistemas do festival. O risco imediato mais plausível é uso dos dados para campanhas de spear phishing ou ataques de engenharia social direcionados a indivíduos de alto perfil, cujos contatos são normalmente mantidos fora do domínio público. A janela de exposição é desconhecida, o que impede estimar quantas partes (legítimas ou maliciosas) tiveram acesso antes da correção. Não há evidência pública de uso malicioso do dado até o momento da apuração.